Apple publica un parche de urgencia para Mac por un fallo en Compartir pantalla: instálelo este fin de semana

Apple publicó el jueves macOS Tahoe 26.6.1, siete días después de macOS Tahoe 26.6. El ritmo, por sí solo, ya es la noticia. Las versiones «punto uno» suelen espaciarse varias semanas y agrupan correcciones acumuladas; Apple no rompe su propio calendario por retoques cosméticos.

Qué permitía realmente el fallo

La vulnerabilidad se sitúa en Compartir pantalla, la función integrada en todos los Mac que permite a una máquina ver y controlar otra dentro de la misma red. Es lo que se utiliza para arreglar el Mac de un familiar desde la habitación de al lado, o para alcanzar el ordenador de la oficina desde una sala de reuniones.

Compartir pantalla debería exigir un nombre de usuario y una contraseña antes de ceder el teclado y el ratón. Según la nota de seguridad de Apple, un atacante que ya estuviera presente en la misma red Wi-Fi podía autenticarse sin credenciales válidas. Apple afirma haber corregido ese problema de autenticación mediante una «mejor gestión de estados», la fórmula habitual de la casa, que describe la forma del parche más que la forma del fallo.

Dicho en claro: una máquina de su red podía ser inducida a aceptar una conexión que debería haber rechazado, y la persona al otro extremo se encontraba entonces mirando su pantalla y escribiendo con su teclado.

La función que quizá no sabe que tiene activada

Compartir pantalla no es algo que la mayoría de la gente configure a propósito. Viene incluida en cada copia de macOS, duerme en los Ajustes del Sistema y acaba activada por un técnico de soporte, un perfil de gestión remota, una aplicación de trabajo colaborativo o una versión pasada de uno mismo intentando arreglar una impresora. Años después sigue activa y nadie recuerda haberla encendido.

Eso es lo que convierte un fallo acotado en un problema práctico. Una vulnerabilidad en una función que el 2 % de los usuarios ha configurado deliberadamente es un problema estrecho. Una vulnerabilidad en una función presente en todos los Mac y discretamente activa en una proporción desconocida de ellos es otra cosa muy distinta, y es la mejor explicación de la rapidez con la que Apple ha reaccionado.

El alcance importa, en los dos sentidos

No se trata de una vulnerabilidad que alguien pueda explotar desde el otro extremo de internet. El atacante tiene que estar ya dentro de su red, lo que descarta el escenario de barrido masivo que hace tan peligrosos a los fallos remotos.

Pero «su red» abarca bastantes más situaciones de las que uno imagina. Es el Wi-Fi corporativo compartido con varios centenares de compañeros y sus invitados. Es el espacio de coworking, el hotel, el recinto de un congreso, la cafetería en la que se deja el portátil abierto mientras se va a pedir. En cualquier red que uno no controle personalmente, la suposición de que Compartir pantalla rechazaría una petición no autenticada era, hasta el jueves, sencillamente falsa.

Ese es también el motivo por el que el fallo afecta más a los portátiles que a los ordenadores de sobremesa. Un Mac mini en un despacho doméstico rara vez abandona una red de confianza. Un MacBook se conecta a media docena de redes ajenas en una sola semana.

Tres sistemas, no uno

Apple ha distribuido la misma corrección para las dos versiones más antiguas de macOS que todavía mantiene: macOS Sonoma 14.8.9 y macOS Sequoia 15.7.9. Ese detalle es en sí mismo una señal útil.

La política de actualizaciones de seguridad de Apple cubre por lo general la versión vigente de macOS más las dos anteriores, pero las versiones antiguas suelen recibir sus parches por lotes en lugar de uno a uno. Retroportar una corrección aislada a ambas, fuera de calendario y el mismo día, es el comportamiento de una empresa que no quiere ese agujero abierto en ningún sitio.

El documento de seguridad de Apple no indica si alguien llegó a explotar el fallo antes del parche. La compañía casi nunca lo hace: tiene por costumbre señalar una explotación activa únicamente cuando está segura de ello, lo que significa que la ausencia de esa mención no demuestra nada ni en un sentido ni en el otro.

Por qué «mejor gestión de estados» es la expresión interesante

Las notas de seguridad de Apple están redactadas con un vocabulario deliberadamente estrecho, y cada expresión tiene un significado para quien lee muchas.

«Mejor gestión de estados» apunta a una categoría de errores en la que un sistema pierde el hilo de su propia secuencia; en este caso, una secuencia de autenticación. Más que una contraseña adivinada o interceptada, el software podía ser llevado a un estado en el que daba por superado el paso de identificación. Es un fallo de diseño antes que de criptografía, y es típicamente el tipo de cosa que descubren investigadores sondeando metódicamente un protocolo, no atacantes oportunistas.

Nada de esto cambia lo que hay que hacer al respecto, pero sí explica la reactividad de Apple. Las elusiones de autenticación no se degradan con suavidad: o la puerta está cerrada, o no lo está.

Instalarlo lleva dos minutos

Abra Ajustes del Sistema, vaya a General y después a Actualización de software, e instale lo que aparezca. En Tahoe el destino es la 26.6.1; en Sequoia, la 15.7.9; en Sonoma, la 14.8.9. La actualización es ligera y no impone la larga reconstrucción propia de las versiones mayores.

Si administra Mac para otras personas —una familia, un pequeño estudio, un centro educativo—, esta merece empujarse en lugar de esperarse. Compartir pantalla está activado mucho más a menudo de lo que los usuarios recuerdan haberlo activado, con frecuencia por una herramienta de asistencia o un perfil de gestión remota instalado años atrás. El estado actual se comprueba en Ajustes del Sistema, General y luego Compartir, donde Compartir pantalla aparece como un interruptor. Si nada en su red lo necesita, desactivarlo no cuesta nada y cierra por completo esa superficie de ataque.

Puede que venga otra actualización

Por otra parte, MacRumors informó el viernes de haber detectado indicios de iOS 26.6.1 en pruebas internas, a partir de las versiones de sistema operativo que aparecen en sus propios registros de visitas. Es una observación, no un anuncio, y Apple no ha declarado nada.

Aun así, es el tipo de observación que ya se ha revelado fiable en otras ocasiones, y el calendario encajaría: cuando Apple corrige algo con rapidez en el Mac, el equivalente para iPhone, si existe, suele llegar en cuestión de días. Compartir pantalla no tiene contrapartida directa en iOS, de modo que un eventual iOS 26.6.1 abordaría con toda probabilidad un asunto completamente distinto.

Por qué se ignoran las actualizaciones de agosto, y por qué esta no debería ignorarse

El patrón es estacional y previsible. Cada verano, Apple publica a finales de julio una actualización de seguridad sustancial —macOS Tahoe 26.6 salió el 27 de julio con un amplio conjunto de correcciones en WebKit, el núcleo y los servicios del sistema— y después dedica agosto a consolidar la plataforma mientras la siguiente versión mayor termina su ciclo de betas. Los usuarios, por su parte, pasan agosto de vacaciones, ven una versión «punto uno», piensan que la gran actualización de otoño está a solo unas semanas y lo dejan para más adelante.

Ese razonamiento suele ser inofensivo. Aquí no lo es. Una elusión de autenticación no es un error que degrade ligeramente la experiencia hasta que uno se ocupe de él: es una puerta que se cierra o no se cierra. Y la ventana que nos separa de macOS 27 es precisamente el periodo en el que un portátil se conecta al mayor número de redes de hoteles, aeropuertos y cafeterías que jamás ha visto.

Merece la pena añadir un matiz para quien administre equipos en una pequeña empresa: agosto es también el mes en el que el personal técnico está de vacaciones y en el que las actualizaciones aplazadas se acumulan sin que nadie las revise. Si su organización utiliza un sistema de gestión de dispositivos, esta es una de esas correcciones que conviene programar antes de irse, no al volver.